风险行为arXiv 2610.08670
研究：后训练配方决定大模型是否违背自身道德判断行事
提出知行差距面板，测量压力下模型是否违背自身判断
- arXiv
- 2610.08670
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- OLMo-3-7B-Instruct、Llama-3.1-8B-Instruct、Tulu 3 等 7 个
- 风险失准与价值偏离
摘要评估发现后训练配方决定知行差距是否存在，行动前审思可有效缓解。
本文评估了开源语言模型作为智能体行动时违背自身道德判断的知行差距及其决定因素。
- 可解释性arXiv 2610.05541
研究者提出 CAP 指标与 CSFD 算法，发现越狱通过压制安全特征绕过拒答
提出 CAP 与 CSFD，发现越狱通过压制安全特征绕过拒答
- arXiv
- 2610.05541
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemma-2-2B、Qwen3-8B、Gemma-3-4B-IT 等 5 个
摘要论文指出越狱通过抑制安全特征运作，提出 CAP 与 CSFD 补充了针对激活特征的解释性方法。
- 分析与理论arXiv 2609.30802
研究：知识蒸馏中 chat 模板会削弱学生模型的安全对齐
分析良性知识蒸馏中提示模板对学生拒答保留的影响
- arXiv
- 2609.30802
- 发表
- 场景
- 模型与 API
- 测试
- LLaMA-3.1-8B-Instruct、LLaMA-3.2-3B-Instruct、Gemma-2-9B-IT 等 7 个
- 风险拒答失当
- 可解释性arXiv 2610.01821
研究者提出非线性概念流形发现与对齐方法，用于分析大语言模型内部表示
提出残差流上的非线性概念发现与对齐方法，比较模型内部概念结构
- arXiv
- 2610.01821
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- GPT-2、Llama-3.1-8B-Instruct、Qwen3-4B 等 9 个
摘要NLMCD-NLP 用 CBA 比较非线性概念，层块、语言共享和微调漂移都随模型与阶段而变。
NLMCD-NLP 把概念建成低维非线性流形，用 CBA 比较 LLM 在层、规模、语言和训练阶段上的表示，而不把相似度压成一个全局线性统计量。
- 其他arXiv 2407.21783
Llama 3 模型群：405B 稠密 Transformer 与 Llama Guard 3 安全模型
阐述旗舰基础模型的预训练与后训练方法并公开权重与安全模型
- arXiv
- 2407.21783
- 发表
- 场景
- 模型与 API
- 测试
- Llama 3.1 8B、Llama 3.1 8B Instruct、Llama 3.1 70B 等 7 个
- 分析与理论arXiv 2609.25366
研究：思维链对答案的约束随模型相对任务难度而变化
用续写扰动衡量思维链对答案的因果约束如何随任务难度变化
- arXiv
- 2609.25366
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Gemma-2-9B-IT、Llama-3.1-8B-Instruct、DeepSeek-R1-Distill-Qwen-7B 等 4 个
- 组件推理链
摘要在所测续写干预与模型中，思维链对答案的约束随任务和后训练条件而变。
- 可解释性arXiv 2609.25518
Matryoshka Attribution：把语言模型输出归因到表示与权重
提出 Matryoshka Attribution，把模型输出归因到表示与权重
- arXiv
- 2609.25518
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- gpt2-small、Qwen2.5-0.5B、gemma-2-2b 等 6 个
- 风险拒答失当
摘要MAttr 用随机预算的 sigmoid top-k 学嵌套归因，并在电路基准和拒答权重上给出结果。
Matryoshka Attribution（MAttr）把“哪些内部计算或权重差导致了输出”写成可以用梯度下降学习的嵌套子集问题。
- 可解释性arXiv 2609.06934
论文提出拒答的几何解释：事后安全训练脆弱，预训练期持续安全共训更抗攻击
用权重几何解释事后安全脆弱，并提出预训练持续安全共训练
- arXiv
- 2609.06934
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen-2.5-7B、Qwen-2.5-7B-Instruct、Llama-3-8B 等 15 个
摘要论文将后验安全脆弱性归因于正交抑制，并提出通过预训练持续共训练实现具备微调抗性的安全防护。
- 防御arXiv 2608.13304
WIFA：按意图分组监督缓解包装式越狱与过度拒答
提出 WIFA 意图组监督微调，缓解包装式越狱与过度拒答
- arXiv
- 2608.13304
- 发表
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B-Instruct、Llama-3.1-8B-Instruct、Qwen-72B 等 4 个
摘要WIFA 用匹配意图组做数据层，WIFA-Boost 偏高安全，A-GCRT 在 Qwen 上把过拒降到基座以下。
WIFA 是一种自动意图组数据构造，用来让安全微调拒绝有害意图而不是拒绝表面包装。WIFA-Boost 与 A-GCRT 在同一数据层上选取不同的安全–过拒工作点。
- 可解释性arXiv 2609.08322
多语言 LLM 中的刻板印象如何从内部表征传导到输出：Llama-3.1-8B、Qwen3-8B 与 Gemma-2-9B 的机制对比
用线性探针、归因修补与 SAE 消融追踪多语模型刻板印象
- arXiv
- 2609.08322
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Llama-3.1-8B、Qwen3-8B、Gemma-2-9B 等 4 个
- 风险偏见与歧视
摘要可解码、输出影响与稀疏特征消融需要分开测量。
把多语 LLM 中刻板印象从线性表示追到输出影响，再追到 SAE 特征消融。。
- 可解释性arXiv 2609.13556
Llama-3.1 医学微调模型在专业术语理解上为何不如通用版：一项机制可解释性对比分析
提出 JU 与 JI 基准，并用组件分解定位术语知识
- arXiv
- 2609.13556
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Llama-3.1-8B-Instruct、Llama-3.1-8B-UltraMedical
摘要医学微调的 UltraMedical 在两项术语任务上不如 Instruct，偏差来自少数组件被加重。
作者用两项术语基准和组件分解，比较通用与医学微调的 Llama-3.1-8B 如何编码领域术语。。
- 可解释性arXiv 2609.15277
在 Llama 3.1 8B-Instruct 等 LLM 内部定位并因果操控"机会识别旋钮"
在 LLM 残差流中定位并因果转向机会识别方向
- arXiv
- 2609.15277
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Llama 3.1 8B-Instruct、Claude Opus 4.7、DeepSeek V4 Pro
摘要作者在 Llama 中定位并转向 OR 方向，判断随之有符号移动。
作者把人工创业认知定义为 LLM 内部与创业相关的表征和计算如何组织，并用机会识别做结构理论的检验案例。
- 风险行为arXiv 2609.20942
当 AI 评审训练 AI 评审：科学判断坍缩与 TrustReviewer 缓解方案
测量合成审稿训练导致的科学判断坍缩并提出 TrustReviewer 缓解
- arXiv
- 2609.20942
- 发表
- 场景
- 模型与 API
- 测试
- Meta-Llama-3.1-8B-Instruct、M1、M2 0% 等 10 个
- 防御模型加固
摘要一步递归里合成审稿会收窄判断。
- 可解释性arXiv 2608.29461
因果模型定位并解锁模型中的故意藏拙行为
提出因果模型定位残差流中的藏拙轴，并用单层 graft 在推理时解锁
- arXiv
- 2608.29461
- 发表
- 层
- 模型层
- 场景
- 模型与 API
- 测试
- Qwen2.5-7B、Llama-3-8B、Mistral-7B
- 风险欺骗与谋划
摘要因果模型规定单层 graft 的窗口。
作者为故意造出的 sandbagging 建立 residual stream 上的因果模型，并用两种推理时、不改权重的 graft 检验其预测。
- 攻击arXiv 2609.33985
研究：众包微调数据投毒可放大专有指令抽取
提出主题锚点投毒，放大众包微调后的专有指令提取
- arXiv
- 2609.33985
- 发表
- 场景
- 模型与 API
- 攻击者
- 黑盒
- 测试
- Qwen2.5-7B-Instruct、Qwen2.5-14B-Instruct、Llama-3.1-8B-Instruct 等 6 个
摘要论文提出基于主题锚点的数据中毒攻击，证明低比例的中毒样本可在黑盒条件下隐蔽放大微调指令泄漏。
已经到底了